Datenschutzerklärung

Für eigene Zwecke ist HLT Verantwortlicher: diese Website, Geschäftskontakte, Kontoverwaltung, Sicherheit des Dienstes und Buchhaltung.

Für Auditinhalte wie Audits, Bemerkungen, Fotos, Feststellungen und Berichte ist in der Regel die Kundenorganisation Verantwortlicher. HLT verarbeitet diese Inhalte als Auftragsverarbeiter nach Weisung des Kunden. Jede Organisation veröffentlicht ihren eigenen Datenschutzkontakt in HLT Cloud unter „Datenschutz im Konto“.

Die öffentliche Website besteht aus statischen Seiten. Sie verwendet keine Analyse-, Werbe-, Fingerprinting- oder Sitzungsaufzeichnungsdienste; ihre einzigen Cookies sind die beiden unten beschriebenen Einstellungs-Cookies. Schriften werden von unserer eigenen Domain geladen. Einzige Drittkomponente ist der Spamschutz Cloudflare Turnstile auf der Kontaktseite (siehe „Wenn Sie uns kontaktieren“).

Beim Aufruf einer Seite verarbeitet Cloudflare technische Daten wie Ihre IP-Adresse, die aufgerufene Adresse und den Browsertyp, um die Seite auszuliefern und vor Angriffen zu schützen. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren, funktionierenden Website (Art. 6 Abs. 1 lit. f DSGVO). Betriebsprotokolle werden standardmäßig höchstens 30 Tage aufbewahrt.

Wenn Sie eine Sprache wählen oder zwischen heller und dunkler Darstellung wechseln, merken sich zwei eigene Einstellungs-Cookies diese Wahl, damit jede Seite und jede Anwendung von HLT Cloud so öffnet, wie Sie es gewählt haben: hlt_locale (der Sprachcode, zum Beispiel „de“) und hlt_theme („light“ oder „dark“). Ohne eigene Wahl folgt jede Seite und jede Anwendung bei jedem Besuch einfach der Sprache Ihres Browsers; dafür wird nichts gespeichert. Sie enthalten nichts außer dieser Sprache oder Darstellung, gelten für die HLT-Cloud-Domain hlt.cloud und ihre Subdomains (etwa app.hlt.cloud) und laufen nach einem Jahr ab. Eine Kopie kann zusätzlich im lokalen Speicher Ihres Browsers liegen. Sie dienen weder dem Tracking noch der Analyse; Ihr Browser sendet sie bei Anfragen an HLT Cloud mit, unsere Server werten sie aber nicht aus. Rechtsgrundlage: Die Speicherung ist unbedingt erforderlich, um die von Ihnen gewünschte Einstellung bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Sie können die Cookies jederzeit in Ihrem Browser löschen; die Seiten folgen dann wieder der Sprache Ihres Browsers und der Darstellung Ihres Systems.

Wir verarbeiten Ihren Namen, Ihre Kontaktdaten und Ihre Nachricht, um Ihnen zu antworten und gegebenenfalls einen Vertrag vorzubereiten oder zu erfüllen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, ansonsten unser berechtigtes Interesse an der Beantwortung geschäftlicher Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Wenn Sie das Kontaktformular nutzen, wird Ihre Nachricht per E-Mail an HLT gesendet, mit Ihrer Adresse als Antwortadresse. HLT Cloud speichert darüber hinaus nur den Zustellnachweis, und das Formular legt niemals ein Konto an. Zum Schutz vor automatisiertem Spam lädt die Kontaktseite Cloudflare Turnstile: Cloudflare verarbeitet Ihre IP-Adresse, Browser- und Gerätemerkmale sowie Interaktionssignale ausschließlich, um Menschen von Bots zu unterscheiden, und kann dafür nötige Daten in Ihrem Browser speichern. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz des Formulars vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Freiwillige Angaben, die Sie im Formular auswählen (Problembereich oder Art der Anfrage), werden mit der Nachricht übermittelt.

Die E-Mail-Adresse, die Sie in ein Feld „Demo vereinbaren“ eingeben, füllt nur das Kontaktformular aus; bei uns kommt nichts an, bevor Sie dieses Formular absenden. Ihr Browser gibt die Adresse lokal an die Kontaktseite weiter. Ohne JavaScript wird sie in der Seitenadresse übertragen und kann dann in den unter „Besuch dieser Website“ beschriebenen Betriebsprotokollen erscheinen.

Für jede Person verarbeiten wir Name, E-Mail-Adresse, Passwort-Hash, Zwei-Faktor-Einstellungen, Mitgliedschaften und Rollen, Einstellungen sowie Sicherheitsereignisse wie Anmeldungen. Wir nutzen diese Daten, um Konten bereitzustellen, den Dienst abzusichern und Missbrauch zu verhindern.

Um Missbrauch wie automatisierte Anmeldeversuche, Zugriffsversuche auf Daten anderer Organisationen oder Anfragefluten zu erkennen, erfassen wir Sicherheitssignale: die Art des Ereignisses, das betroffene Konto und die Organisation, den Vorgang, eine gekürzte IP-Adresse (nur der Netzanteil) und einen mit geheimem Schlüssel gebildeten Hash der vollständigen Adresse, dessen Schlüssel alle 30 Tage wechselt. Sie enthalten keine Inhalte und sind nur für HLT-Betreiber sichtbar. Wenn der HLT-Support die App als Mitglied Ihrer Organisation nutzt, um zu helfen, werden Beginn, Ende, Begründung und jede Änderung im Aktivitätsprotokoll Ihrer Organisation festgehalten; Passwort, zweiter Faktor, Passkeys und Sitzungen bleiben für den HLT-Support unsichtbar und unveränderbar.

Sicherheitsnachweise: Wir erfassen erfolgreiche Anmeldungen und Änderungen an Passwörtern, zweiten Faktoren, Passkeys und Sitzungen (mit gekürzter IP-Adresse); Zähler für Anmelde-, Passwort-Zurücksetzungs- und Bestätigungsversuche je E-Mail-Adresse und je IP-Adresse, die das Ausprobieren von Passwörtern bremsen; Vorfälle, die unsere automatischen Prüfungen anlegen, wenn Aktivität nach einem Angriff aussieht (die Regel, das Konto oder die gekürzte IP-Adresse und Zahlen); und jeden Zugriff von HLT-Betreibern, einschließlich Support-Sitzungen, in denen HLT die Anwendung als Mitglied nutzt. Wir bewahren sie auf, um Konten und den Dienst zu schützen und Missbrauch aufzuklären. Rechtsgrundlage: unser berechtigtes Interesse an einem sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO). Versuchszähler werden einen Tag nach ihrem Beginn gelöscht, Vorfälle 90 Tage nach ihrem Abschluss und die übrigen Nachweise nach 12 Monaten. Nur HLT-Betreiber sehen sie; die Administratoren Ihrer Organisation sehen Betreiberzugriffe und Support-Sitzungen im Aktivitätsprotokoll der Organisation.

Wenn Sie unter Kontosicherheit ein Microsoft- oder Google-Konto verknüpfen, speichern wir die Kontokennung, die uns der Anbieter übermittelt, damit er Sie anmelden kann. Zugriffstoken des Anbieters bewahren wir nicht auf, und es wird nie ein Konto angelegt. Für Passkeys speichern wir den öffentlichen Schlüssel, einen Gerätetyp und den von Ihnen gewählten Namen; Fingerabdruck, Gesicht oder Geräte-PIN verlassen Ihr Gerät nie. Hat das verknüpfte Konto ein Profilbild, kopieren wir es einmal in unseren privaten Bildspeicher in der EU als Ihr HLT-Cloud-Profilbild; Sie können es unter Konto ersetzen oder entfernen. Ein selbst hochgeladenes Bild wird dort ebenso gespeichert, ohne seine ursprünglichen Metadaten.

• Rechtsgrundlage: Erfüllung des Vertrags mit der Kundenorganisation und unser berechtigtes Interesse an einem sicheren Dienst (Art. 6 Abs. 1 lit. b und f DSGVO).
• Unsere E-Mails beschränken sich auf Einladungen, Wiederherstellung, Sicherheit und die von Ihnen gewählten Benachrichtigungen. Sie enthalten keine Auditinhalte.
• Wir nutzen Kundeninhalte nicht zum Training von KI-Modellen, verkaufen keine personenbezogenen Daten und bilden keine kundenübergreifenden Profile.

Wir nutzen die auf der Seite „Unterauftragsverarbeiter“ genannten Anbieter: Cloudflare für Hosting, Dateien, E-Mail und Verarbeitung; Neon für die Datenbank in Frankfurt; und nur wenn ein Kunde KI-Funktionen aktiviert, OpenRouter. Einige dieser Anbieter oder ihre verbundenen Unternehmen sitzen außerhalb der EU. Übermittlungen stützen sich auf die Mechanismen von Kapitel V DSGVO, etwa die EU-Standardvertragsklauseln, wie in deren Verträgen festgelegt.

Die Speicherdauer von Auditinhalten legt jede Kundenorganisation fest; HLT schlägt 24 Monate für wiederkehrende Vergleiche vor. Nach Vertragsende werden Kundendaten nach einer 30-tägigen Exportfrist gelöscht.

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, gegebenenfalls Datenübertragbarkeit sowie auf Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen. Anfragen sind kostenlos und erfordern weder Konto noch Abonnement. Schreiben Sie uns dazu eine E-Mail.

Zu Auditinhalten wenden Sie sich bitte an die Organisation, die sie erstellt hat; Anfragen, die uns erreichen, leiten wir umgehend an diese Organisation weiter und unterstützen sie bei der Beantwortung.

Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Wir aktualisieren diese Erklärung, wenn sich unsere Verarbeitung ändert. Das Datum der aktuellen Fassung steht oben auf der Seite.